Privilegios de acceso del usuario

Indicadores de permiso de clase de inicio de sesión

Puede usar indicadores de permiso para otorgar a un usuario acceso a comandos de modo operativo y niveles e instrucciones de jerarquía de configuración. Puede configurar indicadores de permiso para la clase de inicio de sesión del usuario en el [edit system login class] nivel jerárquido. Cuando se especifica un indicador de permiso determinado, el usuario obtiene acceso a los comandos y a los niveles e instrucciones de jerarquía de configuración que corresponden a ese indicador. Para conceder acceso a todos los comandos y a las instrucciones all de configuración, utilice la marca de permisos.

La permissions instrucción especifica uno o más de los indicadores de permiso enumerados en Tabla 1. Los indicadores de permiso no son acumulativos. Para cada clase, debe enumerar todas las marcas de permiso necesarias, incluidas para mostrar view información y entrar en el modo de configure configuración. Dos formas de permiso controlan el acceso de un usuario a las partes individuales de la configuración:

• Formato "sin formato": proporciona capacidad de solo lectura para ese tipo de permiso. Un ejemplo interface.

• -control formulario: proporciona capacidad de lectura y lectura para ese tipo de permiso. Un ejemplo interface-control.

Para los indicadores de permiso que conceden acceso a instrucciones y niveles de jerarquía de configuración, los indicadores de formato sin formato otorgan privilegios de solo lectura a esa configuración. Por ejemplo, la marca interface de permiso concede acceso de solo lectura al nivel de [edit interfaces] jerarquía. La -control forma del indicador concede acceso de lectura y escritura a esa configuración. Por ejemplo, el interface-control indicador concede acceso de lectura y lectura a nivel de [edit interfaces] jerarquía.

Tabla 1 enumera los indicadores de permiso de clase de inicio de sesión que puede configurar incluyendo la permissions instrucción en el nivel de [edit system login class class-name] jerarquía.

Los indicadores de permisos conceden un conjunto específico de privilegios de acceso. Cada indicador de permiso se muestra con los comandos de modo operativo o modo de configuración, así como los niveles e instrucciones de jerarquía de configuración para las que dicha marca concede acceso.

Permitir y denegar comandos individuales y jerarquías de instrucciones para clases de inicio de sesión

De forma predeterminada, todos los comandos CLI nivel superior y los niveles de jerarquía de configuración tienen niveles de privilegios de acceso asociados. Los usuarios solo pueden ejecutar esos comandos, ver y configurar solo aquellas instrucciones para las que tengan privilegios de acceso. Para cada clase de inicio de sesión, puede permitir y denegar explícitamente el uso de comandos de modo operativo y modo de configuración y jerarquías de instrucciones que de otro modo se permitirían o negarían mediante un nivel de privilegio especificado en la permissions instrucción.

Los indicadores de permiso conceden a un usuario acceso a los comandos del modo operativo y del modo de configuración, así como a los niveles e instrucciones de jerarquía de configuración. Mediante la especificación de un indicador de permiso específico en la clase de inicio de sesión del usuario en el nivel jerárquico, se le concede acceso al usuario a los comandos y niveles e instrucciones de jerarquía de [edit system login class] configuración correspondientes. Para conceder acceso a todos los comandos y a las instrucciones all de configuración, utilice la marca de permisos.

Puede permitir o denegar explícitamente el uso de comandos e instrucciones configurando allow-commands la , y las instrucciones para una clase de inicio de deny-commandsallow-configurationdeny-configuration sesión. En las instrucciones, se utilizan expresiones regulares extendidas para definir qué comandos e instrucciones permitir o denegar para los usuarios asignados a la clase.

Descripción de las instrucciones Permitir y Denegar

Cada comando de nivel CLI y jerarquía de instrucciones de configuración tiene un nivel de privilegio de acceso asociado. Cada clase de inicio de sesión puede permitir o denegar explícitamente el uso de comandos de modo operativo y modo de configuración, así como jerarquías e instrucciones de configuración que de otro modo se podrían permitir o denegar mediante un nivel de privilegio. Los usuarios solo pueden ejecutar esos comandos, ver y configurar solo aquellas instrucciones para las que tengan privilegios de acceso.

Los privilegios de acceso para cada clase de inicio de sesión se definen mediante uno o más indicadores de permiso especificados en la permissions instrucción en el nivel de [edit system login class class-name] jerarquía. Además, puede permitir o denegar el uso de comandos y jerarquías de configuración específicos mediante la definición de expresiones regulares extendidas. Puede especificar las expresiones regulares mediante la configuración de las siguientes instrucciones para una clase de inicio de sesión:

• allow-commands y: permitir o denegar el acceso a los comandos del modo operativo y deny-commands del modo de configuración.

• allow-configuration y: deny-configuration permitir o denegar el acceso a jerarquías de configuración específicas.

  Nota:

  Estas instrucciones realizan una correspondencia más lenta, con más flexibilidad, especialmente en la coincidencia de caracteres comodín. Sin embargo, puede tardar mucho tiempo en evaluar todas las instrucciones posibles si se configura una gran cantidad de expresiones regulares de ruta completa o comodín, lo que posiblemente afecte al rendimiento.

• allow-commands-regexps y: deny-commands-regexps permitir o denegar el acceso a comandos particulares mediante cadenas de expresiones regulares.

• allow-configuration-regexps y: permitir o denegar el acceso a jerarquías de configuración específicas deny-configuration-regexps mediante cadenas de expresiones regulares.

Permitir explícitamente comandos y jerarquías de instrucciones de configuración mediante las instrucciones se suma a los permisos allow/deny-* que la instrucción ya permissions define. Del mismo modo, denegar explícitamente comandos y jerarquías de instrucciones de configuración mediante las instrucciones elimina los permisos que allow/deny-*permissions la instrucción ya define.

Por ejemplo, en la siguiente configuración, el permiso permite que los usuarios en la clase de inicio de configure sesión ingresen al modo de configuración. Además, la allow-configuration expresión permite a los usuarios modificar la configuración en el nivel de jerarquía y [edit system services] confirmarla.

De forma similar, en la siguiente configuración, el usuario de clase de inicio de sesión puede realizar todas las operaciones que permita el indicador de permisos, excepto que el usuario no puede ver o modificar la configuración en el nivel all[edit system services] de jerarquía:

Descripción de la sintaxis de la instrucción Permitir y denegar

Puede configurar una instrucción allow/deny-* una sola vez en cada clase de inicio de sesión. Cuando configure una instrucción:

• Puede configurar tantas expresiones regulares como sea necesario.

• Las expresiones regulares no distinguen entre mayúsculas y minúsculas

allow/deny-commands Las instrucciones son mutuamente excluyentes con allow/deny-commands-regexps las instrucciones, y allow/deny-configuration las instrucciones son mutuamente excluyentes allow/deny-configuration-regexps con las instrucciones. Por ejemplo, no puede configurar ambos allow-configuration y allow-configuration-regexps en la misma clase de inicio de sesión.

Para definir los privilegios de acceso a los comandos, especifique expresiones regulares extendidas mediante las allow-commandsdeny-commands instrucciones y. Encierre cada expresión independiente completa entre paréntesis ( ) y utilice el símbolo de barra vertical ( | ) para separar las expresiones. No utilice espacios entre expresiones regulares que estén conectadas con el símbolo de canalización. La expresión completa se entrelace entre comillas.

Por ejemplo:

Debe usar anclas al especificar expresiones regulares complejas con la allow-commands instrucción. Por ejemplo:

Para definir privilegios de acceso a partes de la jerarquía de configuración, especifique expresiones regulares extendidas en las allow-configurationdeny-configuration instrucciones y. Encierra las rutas completas entre paréntesis ( ) y utilice el símbolo de barra vertical ( | ) para separar las expresiones. No utilice espacios entre expresiones regulares que estén conectadas con el símbolo de canalización. La expresión completa se entrelace entre comillas.

Por ejemplo:

Cuando especifique expresiones regulares extendidas mediante las instrucciones or, encierre cada expresión entre comillas (" ") y separe las allow/deny-commands-regexpsallow/deny-configuration-regexps expresiones mediante un espacio. Encierra varias expresiones entre corchetes [ ]. Por ejemplo:

Los modificadores como set , y no se admiten dentro de la cadena de expresión regular para que se logcount coincidan. Si utiliza un modificador, no se hace coincidir nada.

Configuración correcta:

Configuración incorrecta:

Descripción de la prioridad y coincidencia de la instrucción Permitir y denegar

De forma predeterminada, allow-commands las allow-configuration expresiones regulares y tienen prioridad sobre y deny-commands las deny-configuration expresiones. Por lo tanto, si configura el mismo comando para las instrucciones y, a continuación, la allow-commands operación allow tiene prioridad sobre la operación de deny-commands denegación. De forma similar, si configura la misma instrucción para las instrucciones y, a continuación, la operación de permitir allow-configuration tiene prioridad sobre la operación de deny-configuration denegación.

Por ejemplo, la siguiente configuración permite que un usuario en la clase de inicio de sesión instale software mediante el comando, aun si la instrucción testrequest system software add incluye el mismo deny-commands comando:

De forma similar, la siguiente configuración permite que un usuario en la prueba de clase de inicio de sesión vea y modifique la jerarquía de configuración, aun si la instrucción test[edit system services] incluye la misma deny-configuration jerarquía:

Si las allow-commands instrucciones y tienen dos variantes diferentes de un deny-commands comando, la coincidencia más larga siempre se ejecuta. La siguiente configuración permite que un usuario en la test clase de inicio de sesión ejecute el commit synchronize comando, pero no el commit comando. Esto se debe commit synchronize a que es la coincidencia más commit larga commit synchronizeentre y, y se especifica allow-commandspara.

La siguiente configuración permite que un usuario en la test clase de inicio de sesión ejecute el commit comando, pero no el commit synchronize comando. Esto se debe commit synchronize a que es la coincidencia más commit larga commit synchronizeentre y, y se especifica deny-commandspara.

A diferencia de las otras instrucciones, el comportamiento predeterminado de las instrucciones es que las expresiones regulares y tienen *-regexpsdeny-commands-regexps prioridad sobre las deny-configuration-regexpsallow-commands-regexpsallow-configuration-regexps expresiones y. Puede configurar la instrucción en el nivel de jerarquía para regex-additive-logic[edit system] que las allow-configuration-regexps expresiones regulares tomen prioridad sobre deny-configuration-regexps las instrucciones. Configurar la instrucción le permite denegar jerarquías de configuración en un nivel superior y, luego, solo permitir el acceso del usuario a sub jerarquías específicas.

Descripción de las reglas de instrucción Permitir y denegar

Las allow/deny-commands instrucciones , y tienen prioridad sobre los permisos de clase de inicio de allow/deny-configurationallow/deny-commands-regexpsallow/deny-configuration-regexps sesión. Cuando configure estas instrucciones, se aplicarán las siguientes reglas:

• Las expresiones regulares allow-commands para deny-commands instrucciones y también pueden incluir commitlos loadcomandos rollback, save, status, y update .

• Los bits de permiso de clase de inicio de sesión all tienen prioridad sobre las expresiones regulares extendidas cuando un usuario emite el comando con el indicador de permiso rollbackrollback habilitado.

• Los usuarios no pueden load override ejecutar el comando cuando especifican una expresión regular extendida. Los usuarios solo pueden emitir mergelos replacecomandos, patch y Configuration.

• Puede utilizar el carácter comodín * cuando se denotan expresiones regulares. Sin embargo, debe usarla como parte de una expresión regular. No puede usar [ * ] ni como la única [ .* ] expresión. Además, no puede configurar la allow-configuration instrucción con una expresión como , porque esta se evalúa en (interfaces (description (|.*))allow-configuration .* .

Descripción de las diferencias para las instrucciones *-regexps

En esta sección, se resumen las diferencias entre las instrucciones allow/deny-configurationallow/deny-configuration-regexps y las.

Las instrucciones dividen la expresión regular en símbolos y coinciden con cada pieza en cada parte de la ruta completa de la configuración especificada, mientras que las instrucciones coinciden con la allow/deny-configuration-regexpsallow/deny-configuration cadena completa. En allow/deny-configuration-regexps el caso de las instrucciones, configure un conjunto de cadenas en el que cada cadena sea una expresión regular, con espacios entre los términos de la cadena. Esta sintaxis proporciona coincidencias muy rápidas, pero ofrece menos flexibilidad. Para especificar expresiones comodín, debe configurar comodín para cada símbolo de la cadena delimitada por espacios que desea hacer coincidir, lo que hace que sea más difícil usar expresiones comodín para estas instrucciones.

Por ejemplo:

• Expresión regular que coincide con un token mediante allow-Configuration-RegExpS

  Este ejemplo muestra que options es la única expresión coincidente con el primer símbolo (token) de la instrucción.

  La configuración anterior coincide con las siguientes instrucciones:

  • establecer condición decondición de opciones de políticas dynamic-db

  • establecer enrutamiento-opciones ruta estática ruta estática siguiente salto

  • set event-options generate-event event time-intervalseconds

  La configuración anterior no coincide con las siguientes instrucciones:

  • opciones de host de nombre de hostdel sistema

  • opciones de descripción del nombre de interfaz de las interfaces

• Expresión regular que coincide con tres tokens mediante allow-Configuration-RegExpS

  Este ejemplo muestra que ssh es la única expresión coincidente con el tercer símbolo (token) de la instrucción.

  En el ejemplo anterior, los tres símbolos son .* , .* y , .*ssh respectivamente.

  La configuración anterior coincide con las siguientes instrucciones:

  • nombre de host del sistema hostname-ssh

  • ssh de servicios del sistema

  • servicios del sistemasalientes- ssh

  La configuración anterior no coincide con la instrucción siguiente:

  • descripción del nombre de interfazssh de las interfaces

Es más fácil usar la instrucción para restringir el acceso de configuración que usar la instrucción. En, se muestra el uso de las instrucciones y en diferentes configuraciones para lograr el mismo resultado de restringir el acceso a una deny-configurationdeny-configuration-regexps configuración Tabla 2deny-configurationdeny-configuration-regexps determinada.

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

Aunque las instrucciones también son útiles cuando desea una configuración simple, estas proporcionan un mejor rendimiento y superan la ambición que existía cuando se combinan expresiones en las allow/deny-configurationallow/deny-configuration-regexpsallow/deny-configuration instrucciones.

Uso de expresiones regulares en servidores de autorización remota

Puede usar expresiones regulares extendidas para especificar qué comandos de modo operativo y modo de configuración, así como las instrucciones de configuración y jerarquías se permiten o niegan para ciertos usuarios. Estas expresiones regulares se especifican localmente en allow/deny-commands el , y en las instrucciones en el nivel de allow/deny-configurationallow/deny-commands-regexpsallow/deny-configuration-regexps[edit system login class class-name] jerarquía. Estas expresiones regulares se especifican de forma remota mediante Juniper Networks atributos TACACS+ o RADIUS específicos del proveedor en la configuración del servidor de autorización. Cuando configure parámetros de autorización de forma local y remota, el dispositivo fusiona las expresiones regulares recibidas durante la autorización TACACS+ o RADIUS con cualquier expresión regular definida en el dispositivo local.

Cuando se especifican varias expresiones regulares en una configuración local mediante las instrucciones , , se configuran allow-commandsdeny-commandsallow-configuration expresiones regulares entre paréntesis y se separan mediante el símbolo deny-configuration de canalización. La expresión completa se encierran entre comillas. Por ejemplo, puede especificar varios allow-commands parámetros con la siguiente sintaxis:

El RADIUS autorización de red utiliza los siguientes atributos y sintaxis:

El servidor de autorización de TACACS+ utiliza los siguientes atributos y sintaxis:

Cuando se especifican varias expresiones regulares en una configuración local mediante las instrucciones , , , puede configurar allow-commands-regexps expresiones regulares entre comillas dobles y separarlas mediante el deny-commands-regexpsallow-configuration-regexps operador deny-configuration-regexps space. La expresión completa se encierran entre corchetes. Por ejemplo, puede especificar varios parámetros allow-Commands con la siguiente sintaxis:

El RADIUS autorización de red utiliza los siguientes atributos y sintaxis:

El servidor de autorización de TACACS+ utiliza los siguientes atributos y sintaxis:

RADIUS y los servidores TACACS+ también admiten una sintaxis simplificada en la que se especifica cada expresión individual en una línea independiente. Por ejemplo, la sintaxis RADIUS servidor simplificado es:

De manera similar, la sintaxis simplificada del servidor TACACS+ es:

Tabla 3 diferencia la configuración de autorización local y la configuración de autorización del servidor TACACS+ mediante expresiones regulares.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

Especificar expresiones regulares

Debe especificar expresiones regulares para los comandos y las instrucciones de configuración de la misma manera que la ejecución del comando o instrucción completos. Tabla 4 enumera las expresiones regulares para configurar los privilegios de acceso para las jerarquías [edit interfaces] de instrucciones y para el [edit vlans]delete interfaces comando.

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# delete interfaces interface-name

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "interfaces .*"
user@host# set deny-configuration "interfaces .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

Operadores de expresiones regulares

Tabla 5enumera los operadores de expresiones regulares comunes que puede utilizar para permitir o denegar los modos operativos y de configuración.

Las expresiones regulares de comando implementan las expresiones regulares extendidas (modernas), tal y como se definen en POSIX 1003,2.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

Ejemplos de expresiones regulares

Tabla 6 enumera las expresiones regulares utilizadas para permitir opciones de configuración en dos jerarquías de configuración; y — como un ejemplo para [edit system ntp server][edit protocols rip] especificar expresiones regulares.

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]